בקצרה: קוד QR הוא רק אריזה לכתובת אינטרנט, ואי אפשר לקרוא אותו בעין. תוקפים מדביקים מדבקות על מדחנים, תפריטים וחשבונות תשלום, והקורבן מגיע לעמוד שנראה אמיתי ומקליד שם פרטי אשראי. הכלל היחיד שעובד הוא לקרוא את הכתובת שמופיעה בתצוגה המקדימה לפני שפותחים.
אנחנו סורקים קודים כמה פעמים ביום בלי לחשוב. בתפריט במסעדה, בחניון, בטופס בקופת חולים. את אותו קישור, אם היה מגיע במייל, רובכם הייתם בודקים פעמיים.
קראו גם: התוסף הקטן שהתקנתם בדפדפן קורא כל מה שאתם מקלידים · הגיבוי שלכם לענן לא יציל אתכם ביום שבו הקבצים יינעלו · דחיתם את עדכון התוכנה שוב? השארתם דלת פתוחה שהתוקפים מחפשים בדיוק
למה הקוד הזה מסוכן יותר מקישור רגיל
בדפדפן אפשר לרחף מעל קישור ולראות את היעד. בקוד QR אין מה לרחף עליו. הריבועים השחורים מקודדים מחרוזת טקסט, והטלפון פשוט מבצע אותה: פותח כתובת, מוסיף איש קשר, מתחבר לרשת אלחוטית או מכין הודעת SMS מוכנה לשליחה.
שיטת ההתקפה הנפוצה היא פיזית ופשוטה. מדבקה חדשה מודבקת על קוד קיים במקום ציבורי, והקוד החדש מוביל לעמוד תשלום מזויף. אין כאן פריצה למדחן ואין נזק לחומרה, רק החלפת פיסת נייר.
איפה זה קורה בפועל
הדפוס זהה בכל המקרים: היעד הוא עמוד שנראה תקין ומבקש להקליד משהו. מהרגע שהוקלדו שם משתמש וסיסמה, ההמשך מתגלגל בדיוק כמו סיסמה שדלפה במקום אחר.
הקוד החד פעמי לא עוצר את זה
בעמוד מזויף טוב התוקף מבקש גם את הקוד שהתקבל בהודעה, ומעביר אותו בזמן אמת לאתר האמיתי. זאת הסיבה שאימות דו שלבי דרך SMS מגן פחות ממה שנדמה. מפתח אבטחה פיזי או אפליקציית אימות שקשורה לדומיין לא ייפלו למלכודת הזאת, כי הם לא יאשרו כתובת שאינה הכתובת המקורית.
חמש בדיקות שלוקחות שניות
- קראו את הכתובת בתצוגה המקדימה של המצלמה, ובדקו את הדומיין ולא את שאר השורה
- חפשו מדבקה מודבקת מעל מדבקה, פינות מתרוממות או הדפסה באיכות שונה מהשלט
- אל תקלידו פרטי אשראי בעמוד שהגעתם אליו מסריקה, שלמו באפליקציה הרשמית
- הקפידו על עדכוני מערכת, הם חוסמים חלק מהניצולים שנפתחים מעמוד זדוני
- חשדתם? צלמו את הקוד ודווחו למפעיל המקום, אל תסרקו שוב כדי לבדוק
סרקתם והקלדתם, מה עושים בשעה הראשונה
ברגע שהבנתם שהעמוד היה מזויף, סדר הפעולות קובע כמה כסף יישאר אצלכם. התחילו בחסימת אמצעי התשלום בשיחה לחברת האשראי, לא בהודעה באפליקציה, כי חסימה טלפונית נרשמת מיד. אחר כך החליפו את הסיסמה באתר האמיתי שאליו התכוונתם, ואת אותה סיסמה בכל מקום נוסף שבו היא מופיעה.
עברו על הרשאות החשבון ובדקו מכשירים מחוברים והפניות דואר חדשות. תוקף שמשיג גישה לתיבת המייל מגדיר לעצמו הפניה שקטה ונשאר בפנים גם אחרי החלפת סיסמה. שמרו צילום מסך של העמוד ושל הקוד שסרקתם, זה החומר שמאפשר למפעיל המקום להסיר את המדבקה ולהתריע לאחרים.
המבנה הטכני של הקוד, כולל תיקון השגיאות שמאפשר לו לעבוד גם כשחלק ממנו מכוסה, מתואר בערך קוד QR.
הפעילו בטלפון את האפשרות שמציגה את הכתובת לפני פתיחה, במקום פתיחה אוטומטית. בפעם הבאה שאתם סורקים קוד בחניון, עצרו על הכתובת שתי שניות וקראו את הדומיין עד הסוף.
מאמרים נוספים שיעניינו אתכם
- התוסף הקטן שהתקנתם בדפדפן קורא כל מה שאתם מקלידים
- הגיבוי שלכם לענן לא יציל אתכם ביום שבו הקבצים יינעלו
- דחיתם את עדכון התוכנה שוב? השארתם דלת פתוחה שהתוקפים מחפשים בדיוק
- התחברתם לוויי-פיי חינם בבית קפה? יכול להיות שנתתם למישהו את הארנק
- הסיסמה שאתם זוכרים בעל פה היא בדיוק החוליה החלשה
- הסיסמה שאתם זוכרים בעל פה כבר עובדת נגדכם